Förväxlingsbara domäner och typosquatting: så gör ni

En förväxlingsbar domän, på engelska lookalike domain, registreras för att misstas för er. Typosquatting betydde från början att fånga besökare som skrev fel adress. I dag används samma namn också för e-post och inloggningssidor som vid en snabb blick ser ut att vara era. Ingen behöver ta sig in i era system för det: domänen tillhör någon annan och är lagligt registrerad, och det är först användningen som är ett missbruk.

Så skapas förväxlingsbara domäner.

De flesta kommer från ett fåtal enkla ändringar. För example.com:

Den sista raden betyder mer än den ser ut. En varning från FBI om bedragare som utger sig för att vara företag för att lura deras leverantörer tar upp company-usa.com, companygroup.com och co-pany.com som exempel på adresser som används för att imitera company.com. Verktyg med öppen källkod, som dnstwist, tar fram alla de här varianterna automatiskt, både åt angripare och åt försvarare.

Därför fungerar de.

• De flesta adresser får bara en snabb blick. Den som ser ett välbekant namn och en välbekant logotyp kontrollerar sällan varje bokstav i adressen.
• En förväxlingsbar domän som tar emot e-post öppnar för fakturabedrägerier. Med en domän som skiljer sig med en bokstav kan en bedragare skriva till era kunder som om det vore ni, eller till er som om det vore en leverantör, be om nya kontouppgifter och få svaren.
• Er DMARC-policy skyddar inte mot den. DMARC låter mottagare avvisa e-post som felaktigt påstår sig komma från just er domän. En förväxlingsbar domän är en annan domän, med en egen ägare, som kan ge den giltiga SPF-, DKIM- och DMARC-poster. E-post från den klarar autentiseringen.
• Hänglåset hjälper inte heller. HTTPS visar att anslutningen är krypterad till den domänen, inte att domänen är er. Certifikat för förväxlingsbara domäner utfärdas som alla andra.

Tecken från andra alfabet.

Internationaliserade domännamn kan innehålla bokstäver från andra skriftsystem, och vissa är nästan identiska med latinska: kyrilliska а och е ser likadana ut som latinska a och e. еxample.com med ett kyrilliskt е är en annan domän, som lagras som xn--xample-2of.com. Unicode publicerar en lista över sådana förväxlingsbara tecken. Chrome använder den till exempel för att visa den kodade xn---formen i stället för Unicode-bokstäverna när ett namn blandar skriftsystem eller liknar en populär domän.

Hitta dem som registrerats mot er.

1. Ta fram de troliga varianterna av varje domän ni använder, med ett verktyg som dnstwist eller med kontrollen som beskrivs nedan.
2. Se vilka som finns och vad de gör. Ett namn som går att slå upp i DNS är registrerat. Ett med MX-poster kan ta emot e-post, och det är den sortens domän som passar bäst för fakturabedrägerier. En webbsida som kopierar er inloggningssida är en phishingsajt.
3. Ta reda på vem som äger dem. En WHOIS- eller RDAP-sökning visar registrar och dess kontaktadress för missbruk: ICANN Lookup täcker generiska toppdomäner som .com, och registrets egen sökning täcker landstoppdomäner som .se. Ägarens personuppgifter är ofta dolda.
4. Uteslut era egna. Marknadsavdelningen, en tidigare byrå eller en leverantör kan ha registrerat några åt er. Jämför med er förteckning över domäner innan ni anmäler något.
5. Håll koll på Certificate Transparency. Varje allmänt betrott certifikat förs in i öppna loggar, som söktjänster som crt.sh gör sökbara. Ett nytt certifikat för en förväxlingsbar domän kan betyda att en sajt snart går live.
6. Gör om det. Förväxlingsbara domäner kan registreras när som helst, så en enstaka kontroll blir inaktuell.

Minska risken.

• Registrera de närmaste varianterna själva: ert namn under de toppdomäner som era kunder förväntar sig, till exempel .se, .com, .eu och .nu, och felstavningar av er huvuddomän med en bokstavs skillnad. Ni kan inte registrera alla varianter, så börja med dem som ligger närmast de adresser ni faktiskt använder.
• Lås de domäner ni äger. En domän som aldrig skickar e-post ska publicera v=spf1 -all och en DMARC-policy med p=reject, så att ingen kan skicka e-post i dess namn. DMARC-guiden visar de två posterna.
• Ändra aldrig kontouppgifter bara för att ett mejl ber om det. Bekräfta per telefon, med ett nummer ni redan har och inte ett från meddelandet. FBI:s varning ovan ger samma råd för att kontrollera vem som verkligen skickade ett mejl.
• Berätta för kunder och medarbetare vilka domäner ni använder, och att ni inte ber om ändrade betalningsuppgifter via e-post.
• Inför DMARC på era riktiga domäner ändå. Det stoppar förfalskning av den exakta adressen, vilket tvingar angripare över till förväxlingsbara domäner, och de går att hitta och få bort.

Få bort en förväxlingsbar domän.

1. Spara bevisen: skärmbilder av sidan, mejlet med fullständiga headers och datum.
2. Anmäl den till registrarens kontakt för missbruk. ICANN kräver att varje registrar som den har ackrediterat har en sådan kontakt och utreder anmälningar skyndsamt. Adressen visas i RDAP-sökningen.
3. Anmäl den till den som driftar webbsidan eller e-postservern, oftast ett webbhotell.
4. Anmäl phishingsidor till Google Safe Browsing och Microsoft, så att webbläsare som använder deras listor varnar besökarna.
5. Använd ett tvistlösningsförfarande om namnet gör intrång i era rättigheter:
   • För .com och andra generiska toppdomäner gäller UDRP. Ni måste visa att domänen är identisk med eller förväxlingsbar med ert varumärke, att innehavaren saknar rätt eller berättigat intresse till den och att den har registrerats och används i ond tro. Hos WIPO tar ett ärende normalt omkring två månader och kostar 1 500 US-dollar för upp till fem domäner med en tvistlösare. Utfallet är överföring eller avregistrering, aldrig skadestånd.
   • För .se gäller ATF, alternativt tvistlösningsförfarande, som WIPO administrerar åt Internetstiftelsen. Rättigheten kan vara ett varumärke, en firma, ett efternamn eller ett annat namn med skydd i Sverige. Domänen ska ha registrerats eller använts i ond tro, och innehavaren ska sakna rätt till den. Ett ärende tar omkring tre månader och slutar med överföring eller avregistrering.
6. Polisanmäl bedrägeriet om pengar eller uppgifter har gått förlorade.

Det här kontrollerar TrustSek.

Modulen för attackyta tar fram upp till 400 förväxlingsbara varianter av domänen, de mest sannolika först: andra toppdomäner, tecken som liknar varandra, bokstäver som saknas, byter plats, ligger på granntangenten eller har lagts till, bindestreck och namnet tillsammans med ord som är vanliga i phishing, som login och secure. Metoden följer dnstwist. Kontrollen räknar de varianter som går att slå upp i DNS. För upp till 30 av dem kontrollerar den om de kan ta emot e-post, och namnger i så fall dem i fyndet. Den frågar också Google Safe Browsing och URLhaus om de är listade för phishing eller skadlig kod.

Bara det allvarligaste av de tre fynden rapporteras. En förväxlingsbar domän räknas som skadlig bara när någon av de två listorna tar upp den; att den nämns i en hotrapport räcker inte. Kontrollen mot listorna kräver att källorna är konfigurerade och svarar. Svarar ingen av dem räknas domänerna, men de rapporteras aldrig som rena.

Kontrollen ansluter aldrig till en förväxlingsbar domän: den använder bara DNS och de två listorna. Den har begränsningar. Den tar inte fram varianter med Unicode-tecken, en registrerad domän som inte går att slå upp i DNS räknas inte, och den är en ögonblicksbild vid tidpunkten för kontrollen, ingen löpande övervakning. Läs mer om den externa attackytan.

Frågor

Ska vi registrera alla förväxlingsbara varianter av vår domän?

Nej. Ett enda namn har hundratals varianter, och nya toppdomäner tillkommer. Registrera de närmaste varianterna av de adresser ni faktiskt använder, och hantera resten genom att kontrollera och anmäla.

En förväxlingsbar domän är registrerad men har ingen webbplats. Är den ofarlig?

Inte nödvändigtvis. En domän kan skicka och ta emot e-post utan webbplats, och en förväxlingsbar domän kan registreras långt innan den används. Kontrollera om den har MX-poster, och kontrollera igen senare.

Är typosquatting olagligt?

Att registrera ett liknande namn är inte olagligt i sig. Att använda det för bedrägeri är ett brott, och ett namn som gör intrång i ett varumärke eller en firma kan överföras genom UDRP, ATF eller domstol.

Se vilka förväxlingsbara domäner som är registrerade

Den kostnadsfria kontrollen räknar de registrerade förväxlingsbara varianterna av er domän och namnger dem som kan ta emot e-post, tillsammans med de fem andra modulerna.

Er domän

Kontrollera er domän

Gratis, inget konto behövs. Tar ungefär 30 sekunder.